Можно ли считать Snort отечественной системой обнаружения атак и может ли он защищать гостайну?

Продолжу тему про импортозамещение в отечественной ИБ-индустрии. Итак на сайте "Кода безопасности" в открытом доступе лежит сравнение их "Детектора атак" с другими отечественными системами обнаружения атак. Нормальный документ, но не без косяков, конечно, присущих любому конкурентному анализу. Например, в разделе про базу сигнатур (решающих правил) в одном случае написано, что она коммерческая, а в другом - что она состоит из собственных, открытых и коммерческих сигнатур, совместимых только со Snort. Почему для первой системы это не указано, если она тоже базируется на Snort?

Но удивило меня не это (косяки или некоторые преувеличения в конкурентных сравнениях допускают все). Вопрос в другом. Как можно было при использовании разработанного в США Snort (кстати, не самой последней версии),

Фрагмент документации

при использовании американской базы сигнатур атак (а Emerging Threats, чьей базой пользуется "Детектор атак", принадлежит американской Proofpoint),

Фрагмент с сайта

говорить о том, что

Я даже сейчас вопрос с ОС (а там все построено на базе FreeBSD, OpenBSD, Linux и Windows) не поднимаю, а они явно разработаны не компаниях-"разработчиках" систем обнаружения вторжений. Тут хотя бы по движку IDS решить. Можно ли его называть разработанным в России, да еще конкретной компанией? Как мне кажется, нет! А уж по в отношении всего ПО и его составных частей тем более.

Кстати, когда я уже писал эту заметку, в голову залетела шальная мысль: "А как вообще американская Emerging Threats может продавать в России свою продукцию, которая используется в организациях, находящихся под санкциями?" Это ж риски для потребителя, который в определенный момент просто не сможет получать актуальные сигнатуры атак...

При этом все эти системы могут не только интегрироваться в ГосСОПКУ (это, кстати, 8-й Центр ФСБ вполне допускает), но и защищать гостайну.

Выводов никаких не делаю - делал еще в прошлый раз.

ЗЫ. Увы, но недавние дискуссии в Facebook по поводу переделанной под гостайну и местами неработающей так как от нее ждут ОС Astra Linux показывают, что даже с open source у нас до конца не смогли разобраться.

Подробнее…

Обзор "методики" моделирования угроз 8-го Центра ФСБ

8-й Центр ФСБ опубликовал очень интересный, но уже и нечаянный документ, посвященный моделированию угроз персональным данным. Если быть точнее, это не методика моделирования угроз, а методика разработки нормативно-правовых актов, определяющих угрозы ПДн. Откуда такая странная формулировка?

Для этого надо вспомнить предысторию вопроса. Как сейчас помню, в июле 2011-го года мы собрались в АДЭ, в рабочей группе созданной 8-м Центром и посвященной разработке 1119-го Постановления Правительства. Правда, тогда это было 2 постановления. И вот обсуждали мы как раз 19-ю статью, во исполнение которой постановление об определении уровней защищенности и создавалось. И закономерно всплыл вопрос - как учесть угрозы для отдельных видов деятельности, о которых говорит ФЗ-152 и от которых должен был зависеть уровень защищенности? Участниками рабочей группы было предложено два варианта реализации - простой и не очень. “Не очень” заключался в том, что 8-й Центр выпустит под эгидой Правительства или самостоятельно набор типовых моделей угроз, которые будут применяться для разных отраслей. Для операторов связи эту тему захотела сразу подмять под себя АДЭ, что и произошло спустя 3 года, в конце 2014-го (правда, судьба этой инициативы покрыта мраком). Но представитель 8-го Центра тогда выступил против, заявив, что они не готовы для каждого вида деятельности писать свою модель угроз.

Второе предложение заключалось в том, чтобы разработать методику моделирования угроз, который бы уже пользовались отраслевые регуляторы и госорганы. Очевидно было, что без руководства, такие модели никто писать не будет - никто не захочет брать на себя ответственность за всю отрасль или целый госорган. Напишешь мало актуальных угроз - еще и накажут. Напишешь много - в бюджете денег на нейтралиацию не найдешь. В итоге за прошедшее с момента принятия летом 2011-го года последней серьзной редакции ФЗ-152 время, отраслевых моделей так и не появилось. Но идею с методикой 8-й Центр тоже проигнорировал, хотя эксперты предлагали свою помощь и в этом вопросе. Хотя, может быть я и не прав. Вспоминая, что 378-й приказ 8-й Центр тоже "рождал" около 3-х лет, то вполне возможно, что работа над методикой тоже была начата в июле 2012-го года и спустя 3 года мы увидели результат этой работы. Но это неподтвержденная версия.

После моей заметки летом 2013-го года о том, почему бы 8-му Центру не написать все-таки такой руководящий документ, на одном из мероприятий я услышал от первого заместителя директора 8-го Центра Кузьмина Алексея Сергеевича тезис о том, что я нифига не понимаю в действующем законодательстве и ФСБ не обязана писать никаких руководств по моделированию угроз. Правда, выпущенный сейчас методический документ опровергает этот тезис. А может просто ФСБ достали операторы ПДн вопросами о том, как моделировать угрозы...

Но финал закономерен - методичка появилась. Но повторюсь, что это не совсем методика моделирования угроз. Следуя преамбуле документа, он предназначен для тех, кто упомянут в части 5 19-й статьи 152-го закона, т.е. для

• Федеральных органов исполнительной власти, осуществляющих функции по выработке государственной политики и нормативно-правовому регулированию в установленной сфере деятельности,
• Органов государственной власти субъектов Российской Федерации,
• Органов государственных внебюджетных фондов,
• Иных государственных органов в пределах своих полномочий.

Именно они, следуя методике, появившейся спустя 4 года с момента необходимости ее появления, смогут теперь разрабатывать свои отраслевые списки актуальных угроз ПДн. Остальным операторам ПДн "целесообразно руководствоваться" (как написано в документе), этой методикой.

Но насколько эта методика обязательна к применению? Как и предыдущие методические документы ФСБ 2008-го года, данная версия методики не имеет статуса юридически обязательного к исполнению документа. В Минюсте она не зарегистрирована, в источниках публикации официальных нормативно-правовых актов не опубликована, кем подписана - не понятно. На шапке красуется стандартная для методичек ФСБ фраза, что документ “Утвержден руководством 8-го Центра ФСБ”. С документами семилетней давности новую методичку роднит еще и номер, с которого они все начинаются - 149. Наверное это что-то значит, но фиг поймешь что. Возможно это число знаменует собой все необязательные документы 8-го Центра ФСБ по теме персональных данных. Иными словами, данный документ не является обязательным к применению, хотя ряд здравых мыслей и идей в нем присутствует, что позволяет не полностью его отвергать.

Из интересных моментов, на которые я обратил внимание:

• Документ описывает только те моменты, которые находятся в сфере компетенции ФСБ, т.е. применение средств криптографической защиты (СКЗИ) и атаки на них и их окружение. Ни на что другое методика не претендует.
• Методика в целом сочетается (как минимум, не противоречит) с проектом методики моделирования угроз ФСТЭК. Структуры итоговых документов (моделей угроз) по версии ФСТЭК и ФСБ схожи.
• Вопрос применения СКЗИ для защиты ПДн ничем не отличается от аналогичных подходов 2008-го года и от 378-го приказа. Если есть угрозы, которые могут быть нейтрализованы только СКЗИ, надо применять СКЗИ. Однако есть и определенные терминологические оговорки и послабления, которые также в последнее время представители 8-го Центра использовали в своих непубличных выступлениях. В частности перед выпуском 378-го приказа 8-й Центр заявлял в Совете Федерации о творческом подходе к формировании модели нарушителя и необязательности применения СКЗИ даже при передаче ПДн через Интернет. Вспомните один из предложенных Правительством вариантов ухода от применения сертифицированной криптографии.
• Пассаж о том, что СКЗИ обязательны в случае передачи ПДн по каналам связи, незащищенным от перехвата нарушителем передаваемой по ним информации, я бы не рассматривал в контексте, что в Интернет можно использовать только СКЗИ. Это не так. Например, MPLS защищает от перехвата ПДн, если не рассматривать оператора связи в качестве нарушителя. И архивирование защищает. И обезличивание тоже. Да и другие варианты тоже есть. 
• Правда, 8-й Центр считает, что делать выводы о том, что MPLS, архивирование или иные механизмы защищают от несанкционированного доступа, может только некая уполномоченная на такие выводы организация. Но ни слова о том, кто ее может на это уполномочивать не сказано. Думаю, что эта фраза сделана в расчете на то, что она отпугнет тех, кто будет уходить от применения сертифицированных СКЗИ :-) Особенно учитывая статус рассматриваемой методички.
• Что касается сертификации СКЗИ, то в документе опять есть терминологическая тонкость, так похожая на фразы из 21-го приказа ФСТЭК. Постулируется, что СКЗИ должны быть... нет, не сертифицированными, а прошедшими оценку соответствия. А список сертифицированных СКЗИ можно найти на сайте ЦЛСЗ ФСБ. В 21-м приказе была заложена та же конструкция - СЗИ должны пройти оценку соответствия, а если будут применяться сертифицированные СЗИ (а обязательная сертификация - это одна из форм оценки соответствия, но не единственная), то они должны соответствия требованиям ФСТЭК. В рассматриваемом документе 8-го Центра, осознанно или нет, зафиксирована та же мысль. А вот если выбираются СКЗИ сертифицированные, то они должны уже соответствовать требованиям 378-го приказа.
• Зачем-то 8-й Центр ушел в документе от понятия "нарушителя", ранее активно используемого; как и от "модели нарушителя", заменив их "источниками атак" и "возможностями источников атак".
• Достаточно гибко 8-й Центр подошел к вопросу признания угроз неактуальными, дав возможность такого решения тем, кто будет писать свои отраслевые модели угроз. При этом в модели должно быть описано, почему та или иная угроза считается неактуальной и что позволяет ее нейтрализовать (в данном контексте нейтрализация угрозы и позволяет считать ее неактуальной).
• Согласование с ФСБ частных моделей угроз операторов ПДн не требуется. 

В целом данная методичка ФСБ вызвала у меня скорее положительное, чем отрицательное отношение. Она сбалансирована и позволяет при правильном подходе (и чтении) создать гибкую модель угроз. Такое впечатление, что 8-й Центр устал уже заниматься этой темой, но явно признать возможность использования не только сертифицированных СКЗИ пока не готов. Поэтому появляются такие документы, в которым пытливый ум найдет все, что нужно, а непытливый пойдет по старинке - через сертифицированные СКЗИ. И все довольны :-)

Подробнее…

12 документов по персональным данным, появившихся за последние 2 месяца

В связи с приближающимся 1-м сентября и увеличившейся активности законодателей и регуляторов по направлению персональных данных (а также для борьбы со своей забывчивостью) решил свести воедино все последние (за последние два месяца) документы и проекты документов по данной тематике. Итак вот список:

• Законопроект «О внесении изменений в Федеральный закон от 29 декабря 2012 г. № 273-ФЗ «Об образовании в Российской Федерации» и Федеральный закон от 24 апреля 2008 г. № 48-ФЗ «Об опеке и попечительстве» (в части ПДн учащихся)
• Проект Постановления Правительства Российской Федерации «Об утверждении Положения о государственном контроле и надзоре за соответствием обработки персональных данных требованиям законодательства Российской Федерации»
• Проект Постановления Правительства Российской Федерации «Об автоматизированной информационной системе «Реестр нарушителей прав субъектов персональных данных»
• Проект приказа Роскомнадзора «Об утверждении формы заявления субъекта персональных данных о принятии мер по ограничению доступа к информации, обрабатываемой с нарушением законодательства Российской Федерации в области персональных данных»
• Проект приказа Роскомнадзора «Об утверждении Порядка взаимодействия оператора реестра нарушителей прав субъектов персональных данных с провайдером хостинга и Порядка получения доступа к информации, содержащейся в реестре нарушителей прав субъектов персональных данных, оператором связи»
• Ответ *** *** по поводу ФЗ-242 (непубличный документ)
• Ответ *** *** по поводу ФЗ-242 (непубличный документ)
• Методические рекомендации ФСБ по разработке нормативных правовых актов, определяющих угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности (буду отдельно писать заметку по ним) 
• Проект приказа ФСТЭК по моделированию угроз
• Постатейный комментарий Роскомнадзора к ФЗ-152 (буду отдельно писать заметку по нему)
• Законопроект "О внесении изменений в Федеральный закон "Об информации, информационных технологиях и о защите информации" и отдельные законодательные акты Российской Федерации" (закон о "праве на забвение")
• Законопроект "О внесении изменений в Кодекс Российской Федерации об административных правонарушениях (в части установления административной ответственности операторов поисковых систем)" (о наказании нарушителей права на забвение).

Чертова дюжина не получилась, но 12 - тоже красивое число :-)

ЗЫ. Ведомственные приказы ФОИВов по ПДн "для себя" в список не включал.

Подробнее…

Три в одной: впечатление от ITSF

Завершилась для меня последняя неделя мая участием в казанском IT & Security Forum (ITSF), который я традиционно посещаю уже не первый год; мне даже отдельную стойку регистрации выделили. Шутка :-)

И я не раз уже писал про это мероприятие. Поэтому много писать не буду, отметив только некоторые моменты. Во-первых, это феноменальная организация. Именно что феноменальная. Никаких накладок, начиная от встречи в аэропорту и заканчивая проводами. Особенно мне понравилась тема с кураторами залов (а их было 4), которые заранее звонили и просили принесли презентацию для ее предварительной проверки, а также заранее напоминали о времени выступления и просили прийти заранее, чтобы не было пробелов между выступлениями. Особенно актуально это было для утренних сессий второго дня, после насыщенной культурной программы дня предыдущего.

Активность кураторов залов, в которых я выступал 

В номере гостиницы меня искренне поразил телевизор, а точнее изображение на нем. Обычно телевизор отображает приветствие, а в этот раз он показывал информацию о мероприятиях ITSF. Я такого раньше нигде не видел. Хотя я и понимаю, как это все устроено. Вся ИТ-инфраструктура отеля Корстон, где проходил ITSF, построена на оборудовании Cisco, и реализовать персонификацию не составляет большого труда. Но выглядело очень интересно.

Культурная программа была как всегда на высоте. Тут и фотовыставка работ Василия Широкова, заместителя генерального директора российского офиса Check Point, позже превратившаяся в благотворительный аукцион.

Тут и концерт группы Uma2rmaH. Много драйва, много музыки, много народа... Хотя со звуком были проблемы, даже у тех, кто сидел в первых рядах. Видимо, звукооператор что-то намудрил.

Хочу отметить особую атмосферу в Максимилианс, месте проведения вечерней программы. Такого и в Москве нет, где все разбредаются после мероприятия или в официальной обстановке сидят за столами и пялятся на поющих и танцующих на сцене. Нет конкурсов и того фана (от англ. fun), который сопровождал те несколько часов, которые продолжалось веселье. Надо отдать должное организаторам и тамаде, которые все время держали в тонусе аудиторию своими задумками. Был сделан отличный фильм об ITSF в стиле репортажа с блондинкой из "Вечернего Урганта", но пока его не выложили на YouTube (пока там ролики прошлых лет).

По традиции организаторы подготовили сюрприз. В этот раз они решили обрить меня, лишив части лицевой растительности. И только благодаря жертве Васи Широкова, мне удалось избежать бритья - весь удар на себя принял Василий. Надеюсь, что в следующем году он также меня спасет. А ведь организаторы уже проговорились, что они готовят мне обрезание :-) Но вся надежда на Васю - он должен прийти на помощь; не впервой :-)

Про непрерывно действующие стенды и демонстрации, а также про постоянную еду в фойе конференции писать не буду - это все было и позволяло коротать время участникам, которые не могли найти себе интересный доклад.

Столпотворение на моем докладе про взлом нефтяной компании Ближнего Востока

В отличие от PHD и ИТОПК на ITSF у меня не было участия в пленарной секции, зато было модерирование круглого стола (опять про импортозамещение), открытие сессии одного из партнеров форума, и три выступления - рекламных и не очень:

• Вы все еще опираетесь на точки контроля в сети. Выбросьте их на свалку. Превратите всю сеть в СЗИ (скачать)
• Опыт построения собственной системы Threat Intelligence (скачать)
• Взлом одной из нефтяных компаний Ближнего Востока. Анализ реального случая (скачать)

Вот такими выдались эти непростые несколько дней - 4 перелета и три мероприятия в одну неделю.

Подробнее…

Три в одной: впечатление от ИТОПК

На следующий день после PHD у меня была конференция ИТОПК, а точнее "ИТ в оборонно-промышленном комплексе России", проводимая под эгидой Ростехнологий и для предприятий Ростеха. Проводилась она под Казанью, в официально открытом неделей позже Иннополисе. 

Главный корпус Иннополиса

Надо сказать, что мне Иннополис понравился больше, чем Сколково. В первую очередь тем, что это реальный кампус, в котором уже построено много объектов; который находится вдали от столицы; в котором отличная экология и окружающая среда. Чем-то Иннополис мне напомнил Кремниевую Долину - это реально те место, где можно что-то делать не из-под палки и не с политическими лозунгами на флаге.

Вид из номера горнолыжного комплекса рядом с Иннополисом (я там коротал 4 часа от прилета самолета до выступления)

Учитывая, кто курировал данное мероприятие, оно было организовано богато, но не без косяков. Больше всего мне запомнилось, как было написано название одной китайской компании :-)  

Но вернемся к мероприятию. Я достаточно странным образом попал на него - по прямому приглашению Ростехнологий. Я должен был участвовать в круглом столе, посвященном импортозамещению. Видимо одноименный круглый стол на РусКрипто и предшествующая ему кампания мемов в Интернете запомнились многим :-) Однако круглый стол в итоге трансформировался в пленарное заседание, где я выступал вместе с главой ОАК, РТ-Информа и замминистра связи и массовых коммуникаций. 

На пленарном заседании, которое предварялось выступлением министра Никифорова, много говорилось о том, что должен быть разумный подход в вопросе импортозамещения; что рубить с плеча нельзя; что нельзя запрещать использование западных технологий и работу иностранных компаний, у которых колоссальный опыт, отказываться от которого пока нельзя. Поэтому министр, а за ним и другие участники, больше говорили об экспортопригодности российских ИТ, которые можно продавать партнерам России по различным блокам - БРИКС, ОДКБ, ШОС, СНГ и т.п. Мое краткое выступление было скорее экспромтом и говорил я примерно о том же, но в контексте информационной безопасности и уровнях доверия к используемым технологиям. 

Запомнился мне один забавный момент. Перед началом пленарного заседания распорядителем зала был просто фееричный молодой человек в футболке, так подходящей к теме импортозамещения :-)

После пленарки я пошел на заседание по информационной безопасности, которое модерировал представитель 2-го Управления ФСТЭК Дмитрий Шевцов и директор центра компетенции ИБ РТ-Информа Андрей Губарев, и на котором представители ОПК и спонсоры конференции делали доклады. Кто-то делился наболевшим, кто-то рассказывал о своей продукции. Было местами интересно.

Однако меня неприятно удивило, что некоторые заявленные в программе выступающие снимали свои выступления и отказывались от них. Возможно это было связано с тем, что днем ранее они уже уже обо всем договорились и нужда в их выступлении отпала. С точки зрения бизнеса оно и понятно - чего метать бисер, если от него уже ничего не зависит. Но вот с точки зрения аудитории такое кидалово выглядело не комильфо. Ну да ладно, Чемезов им судья :-) Главное, чтобы сырую продукцию не подсунули...

В этот же день я вернулся из Казани в Москву, чтобы на следующий день вновь лететь обратно в Казань на IT & Security Forum (зачем такие сложности даже и не спрашивайте).

Подробнее…

Три в одной: впечатление от PHD

Неделя 25-29 мая выдалась у меня напряженная неделя - обучение и три конференции - PHD, ИТОПК и ITSF. Поэтому три последующих заметки будут посвящены впечатлениям от этих мероприятий, каждому из которых я посвятил один день (исключение составила только казанская ITSF, где я "завис" на два дня). Начну с PHD.

У меня к этому мероприятию трепетное отношение еще с самого первого PHD, проходившего в гостинице "Молодежной". С тех пор мероприятие уже дважды меняло свою площадку, пока не осело в ЦМТ на Красной Пресне. Из двух дней я был только в первый и своей впечатление у меня формировалось только по нему, а также по отзывам коллег в Facebook. Сразу отмечу, что многих коллег я так и не встретил - большая площадка и цейтнот по времени :-( 

Традиционно PHD начался с пленарной сессии, на которой сошлись представители властных структур - депутаты Госдумы, представитель МИДа, представитель 8-го Центра ФСБ, представитель ФНС и, непонятно как туда затесавшийся, я. 

Пленарка PHD

Отдельные несознательные личности часто критикуют PHD именно за такую вот "попсу", считая, что хакерское мероприятие должно быть рассчитано только на гиков, а доклады должны быть такими, чтобы их поняли от силы две три сотни специалистов в стране. Я эту неумную мысль не разделял и не разделяю. Во-первых, чисто хакерские тусовки, на которых только и говорят о взломах и дырах, забывая упомянуть, как с этими проблемами бороться, - это движение в одну сторону; и сторона эта явно не белая. Во-вторых, пытаться улучшить отрасль (а мероприятие, если не рассматривать только версию своего пиара и заработка, направлено и на это) без привлечения всех ее участников невозможно. Ни один технарь, каких бы семи пядей во лбу он не был, не способен ничего сделать, если не может донести свои чаяния до властей и получить от них обратную связь.

Перед началом пленарки. Вид со сцены.

На PHD такая связь была - присутствовали и представители Госдумы, и ФСБ, и ФСТЭК, и МВД. Причем присутствовали не негласно и без бейджиков, а вполне легально и даже выступали. Мне, например, понравилась секция ФСТЭК, на которой рассказывалось о последних веяниях регулятора в контексте конференции PHD. Говорилось о банке данных угроз и уязвимостей, об устранении дыр, о возможности разработки в России своего аналога CVSS (кстати, 10 июня вышла 3-я версия). Забавно что на данную секцию пришли послушать и те, кто рьяно ругает регулятора и считает, что им не место на хакерских тусовках.

Секция ФСТЭК

По сути PHD является на сегодняшний день (и с момента своего основания) реальным объединением "пиджаков" и хакеров, бизнеса и регуляторов. Всем находится место, всегда есть место диалогу. В этом и ценность этого позитивного мероприятия, проводимого уже в пятый раз.

Про положительные стороны больше не буду - достаточно подробно описывал это в предыдущие годы. Хочу добавить немножко дегтя. Речь идет о работающих макетах цифровой подстанции и железной дороги, которые пытаются взламывать в течение двух дней конференции. Точнее не о самих макетах, а о практическом выхлопе из этих взломов. Сложно продемонстрировать последствия от атак на эти систему управления технологическими процессами.

Макет цифровой подстанции на PHD

Если с железной дорогой еще можно как-то заставить поезд сойти с рельсов, то непонятно, что демонстрировать в виде результата взлома цифровой подстанции. Погасшую лампочку? Это не цепляет. Тут надо придумывать что-то другое. Например, на стоящей рядом плазме демонстрировать хроники столкновения поездов, схождения их с рельсов и тому подобные катастрофы, которые смогут придать кибератаке зрелищности и понятности. В случае с подстанцией можно показывать часто используемый голливудскими кинематографистами пример с поэтапно гаснущими кварталами города или с отключением электроэнергии на побережье США.

Макет железной дороги на PHD

Иными словами надо добавить зрелищности и понятности к тому, что уже сделано. Тогда эти стенды превратятся из загнанных в угол в центральные элементы мероприятия, к ним можно будет водить экскурсии регуляторов и депутатов, которые не будут уже рассматривать эти стенды как игрушки, а начнут относиться серьезно к теме кибербезопасности.

Заключительным аккордом в моем взгляде на PHD станет выставка изобразительных работ, демонстрируемых в фойе конференции. Не могу сказать, что это ново - выставки работ уже были и раньше, но в любом случае это позволяет отвлечься от технических докладов. Что тоже бывает полезно.

Вот, пожалуй, и все, чем мне запомнился в этом году PHD.

ЗЫ. Для тех, кого смущает число людей на второй фотографии, хочу отметить, что она была сделана еще до 10-ти утра, т.е. до официального начала мероприятия. В течение дня картина в залах была такая:

Заполненность залов на PHD (фото из Facebook)

Подробнее…

Sophos покупает Reflexion Networks

9 июня Sophos объявила о приобретении компании  Reflextion Networks, занимающейся облачными услугами по защите и архивированию электронной почты. Детали сделки не разглашаются.

Подробнее…

Конкурс стартапов Skolkovo Cybersecurity Challenge начинает свою работу

Не успел 27-го мая в рамках PHD отгреметь конкурс ИБ-стартатов от Almaz Capital, как в конце мая стартовал еще один конкурс стартапов по ИБ - уже от фонда Сколково и Cisco. Это Skolkovo Cybersecurity Challenge, который проводится уже не в первый раз (в прошлом году конкурс назывался iSecurity).

Я не хочу много писать о конкурсе - моя задача этой заметкой привлечь внимание к конкурсу. Но несколько слов все-таки скажу. Во-первых, стоит обратить внимание на то, что было уже представлено в прошлом году и на PHD в этом году. Как минимум, чтобы не повторяться. Если, конечно, это не вторая/третья попытка получить деньги (такие случаи бывают).

Участники стартап-конкурса на PHD (фото из Facebook)

На проведенном 2-3 июня в Сколково мероприятии Startup Village, также были стартапы по ИБ (наряду с множеством других). По результатам были выделены 3 основных ниши для развития - безопасность облаков, Интернета вещей и АСУ ТП. Интересный у стартаперов взгляд, конечно. Если не брать во внимание облака, то лезть в IoT и АСУ ТП (он же индустриальный Интернет-вещей, Industrial IoT) я бы, на месте стартаперов, не стал. В тему АСУ ТП стартаперов с неизвестной историей мало кто пустит, а значит коммерческие перспективы предлагаемого продукты неочевидны. В области IoT нечего делать без поддержки вендоров, которые пока заняты захватом доли рынка, чем защитой собственных технологий.

Сергей Ходаков, куратор сколковских проектов по ИБ

Также стоит сразу четко спозиционировать свое решение, так как продукт для российского и зарубежного рынка имеют немного разные подходы к продвижению. И хотя сегодня очень много говорят об импортозамещении, в России ИБ-стартапам делать почти нечего. Однако ввиду взятого Минкомсвязью курса на экспортопригодность, т.е. на захват отечественными продуктами рынков Южной Африки и Латинской Америки, ориентация на Запад - это тоже решение. Но оно должно быть осмысленным и правильно оформленным.

Считается, что выигрывает только тот стартап, который уже имеет реально работающий и продаваемый продукт. Это не совсем так. Просто такие проекты, за счет своей реальности, могут быть лучше описаны в документах и представлены на самом конкурсе. "Продавцы идей" обычно не могут четко сформулировать, что же они делают и для чего. И проигрывают они именно поэтому. Особо интересно выглядят конкурентные сравнения, когда существующий только в виде идеи продукт сравнивается с мировым лидером (в своей нише) и уже показывает феноменальный отрыв :-) Надо быть реалистами, что как раз и присутствует у тех, кто имеет прототип или реально работающий продукт и уже столкнулись с реальными заказчиками, которые до стартапа попробовали многое в этой же сфере.

И, наконец, стоит четко понимать, что и для чего вы делаете? Я в прошлом году сотворил краткий чеклист для стартапера. Он до сих пор остается актуальным. Ключевым там является понимание реальных потребностей заказчика. Стартап для продажи и стартап для решения задач клиента - это тоже две большие разницы. Учитывая, что в жюри и экспертный совет конкурса входят либо представители заказчиков, либо представители вендоров, продающих решения заказчикам, то стоит обратить на это внимание. Ориентация на венчурных капиталистов к успеху в конкурсе Сколково может и не привести.

Обсуждение темы кибербезопасности на Startup Village в Сколково 

ЗЫ. По результатам Startup Village один из участников написал заметку - стоит прочитать всем, кто будет стремится на аналогичные конкурсы. Правда, отдельные эксперты конкурса Cybersecurity Challenge эти мысли не разделяют. К ним тоже стоит прислушаться - они влияют на итоговый результат.

Подробнее…

О модерировании мероприятий по ИБ

В четверг я вернулся с IDC CIO Summit, где модерировал панельную дискуссию по информационной безопасности в деятельности ИТ-директоров. Это уже не первый, и даже не второй, случай в этом году, когда я не выступаю, а модерирую круглый стол, панельную дискуссию, секцию или целый день. IDC CIO Summit, IDC IT Security Roadshow в Москве (две панельных дискуссии), IT & Security Forum, РусКрипто, конференция Инфосистемы Джет, Уральский форум по банковской безопасности, CISO Forum, Код ИБ...

Модерирую день практической безопасности на Уральском форуме

В комментариях к заметке про питерский CIO Summit была высказана мысль, что панельные дискуссии - это не так интересно; лучше экспертные доклады с возможностью спикера спросить после секции, а не во время. Не соглашусь. Всегда нужен сбалансированный подход. Выступать тоже надо уметь, как и готовить презентации. Некоторые умеют хорошо говорить и поддерживать беседу, но плохо справляются с презентацией и трибуной. Поэтому хорошо срежиссированная дискуссия тоже имеет право на существование. И вот тут как никогда важна роль модератора. Год назад я уже составлял чеклист модератора и сейчас хотел бы высказать суждение о том, не что должен делать модератор, а кем он должен быть.

За длительный срок посещения разных мероприятий я понял, что модерирование - это особое искусство. Оно сродни роли хорошего тамады или конферансье, который может провалить отличное или вытянуть казалось аховое мероприятие. Тупо сидеть и следить за таймингом выступающих - это не модерирование. С этой ролью справится и обычный человек, нанимаемый для того, чтобы показывать картонки с оставшимся у докладчика временем (хотя и это не всегда делают). И говорить за всех и больше всех - это тоже не модерирование. А то бывает пригласят известного специалиста вести секцию, а он забирает все внимание на себя, не давая высказаться, а то и перебивая, участников. Это тоже неудачный пример модерирования.

Я уверен, что модератор обязан понимать тему, которую ему довелось модерировать. Причем понимать не на уровне институтских знаний, а иметь и немалый практический опыт в этой сфере. Поэтому журналисты, при всем моем уважении к ним, не всегда могут хорошо вести мероприятие, особенно в сложной аудитории. Энциклопедических знаний тут не хватает - нужно реально сталкиваться с тем или иным вопросом, чтобы правильно повернуть разговор, задать провокационный вопрос, подхлестнуть беседу. Еще лучше, когда ты знаешь аудиторию и знаешь людей, которые уже сталкивались с теми или иными рассматриваемыми проблемами - эти участники могут выполнять роль "рояля в кустах", который выходит на сцену, когда дискуссия заходит в тупик или становится неинтересной.

Модератор должен управлять выступающими, не давая им отклоняться от темы и не давая им возможности диктовать свои условия. Это очень сложно. Особенно когда выступающие - представители регулятора. А если ты еще от них и зависишь в той или иной форме, то это вообще швах. Поэтому лучше заранее проговаривать скользкие вопросы и, в т.ч. вопросы соблюдения временных рамок. Или надо самому иметь авторитет, чтобы по ходу сессии уметь приостанавливать словесный поток, на котором слушатели могут просто заснуть.

Я в последнее время взял за правило - заранее готовить вопросы, с которых я начну или которые позволят мне поддерживать беседу, если я не до конца уверен, что дискуссия пойдет и из зала будут вопросы. Такое часто бывает с утра или после обеда, когда аудитория не проснулась или наоборот, готовится к послеобеденному сну. Тут надо тормошить всех, а это тоже требует активного вовлечения модератора в работу, а не тупого засыпания вместе со всеми. Расшевеливать зал и вовлекать его в дискуссию - это еще один плюс хорошему модератору. Игра в одни ворота интересна, но куда интереснее игра на всем поле - на сцене и в зале. Тогда участники чувствуют вовлеченность, а это позитивно сказывается на всем - качестве мероприятия, желании прийти еще раз, спонсорах и т.п. В нужный момент надо уметь вставлять шутку и уметь разряжать обстановку.

И конечно же нужно подводить итоги по окончании дискуссии или набора докладов. Это важно, чтобы у слушателей сформировалось резюме того, что они прослушали (в обоих смыслах этого слова). И это тоже отличает хорошего модератора от того, кто всю секцию проторчал в телефоне и почти не слушал выступающих.

Модерирую секцию по импортозамещению на РусКрипто

 В общем, могу сказать, что работа эта тяжелая. Она даже тяжелее докладов, которые ты отчитал и свободен, а модераторство требует длительного напряжения и нахождения в состоянии неопределенности. Грамотный докладчик обычно заранее может предугадать вопросы из зала, а то и сам их провоцирует хорошо подготовленной презентацией. А вот у модератора не всегда есть возможность взять под полный контроль зал - остается место для экспромта, к которому модератор должен быть готов заранее. Поэтому, опираясь на свой опыт и выступлений и модерирования могу сказать, что работа эта непростая, гораздо серьезнее обычного выступления.

Подробнее…

Cisco заключает OEM-соглашение с Radware

9 июня Cisco подписала OEM-соглашение с компанией Radware в части поставки средств отражение DDoS от Radware в составе также 9-го числа анонсированной новой модульной платформы безопасности Cisco FirePOWER 9300. После публикации этой новости сразу посыпались вопросы: "А правда, что Cisco покупает Radware?" :-) Нет, не правда. Речь только о OEM-соглашении и поставке решений Radware через канал Cisco. Все остальное - домыслы и инсинуации журналистов.

Подробнее…

Впечатления от IDC CIO Summit

Модерировал. Опять. Вчера. Я. На IDC CIO Summit в Санкт-Петербурге. Надо сказать, что я не так часто посещаю чисто айтишные мероприятия (по сравнению с мероприятиями по ИБ). Нижегородский клуб ИТ-директоров (правда, сейчас он стал менее активен по ряду причин). Да Высшие курсы CIO. Вот, пожалуй, и все (если не считать парочки эпизодических мероприятий региональных ИТ-клубов). Поэтому всегда интересно смотреть на аудиторию, с которой безопасники то дружат, то конфликтуют, но живут бок о бок. Нынешний CIO Summit выгодно отличался от других мероприятий тем, что хотя спонсоры там и присутствовали, но рекламных докладов от них не было вовсе. Хочу заметить, что презентаций там вообще не было, кроме двух затравочных со стороны самой IDC, - все остальное время занимали панельные дискуссии с CIO.

Меня попросили провести панельную дискуссию по информационной безопасности в деятельности CIO. Когда я планировал, о чем будет идти речь, я вспоминал мероприятие IDC IT Security Roadshow в Москве и в Алматы, где мне довелось принять участие и где, преимущественно, были представлены специалисты по ИБ. Так вот на обоих мероприятиях безопасники жаловались (либо в кулуарах, либо со сцены), что бизнес (и зачастую ИТ) их не понимает. Поэтому, когда организаторы попросили меня подготовить два вопроса для онлайн-опроса через web-приложение конференции, я включил в них следуюшие (см. две картинки).

Каково же было мое удивление, когда 2/3 CIO (а на мероприятии были только они, причем от компаний с числом сотрудников не менее 1000) отметили, что у них-то нет проблем общения со своими службами ИБ, которые мало того, что общаются с ИТ и бизнесом на одном языке, так еще и оценивают свою эффективность и свой вклад в достижение бизнес-целей (наезжание текста произошло из длинных вариантов ответа). Правда, не все смогли четко сформулировать, в чем измеряется эффективность ИБ в бизнес-терминах, но само взятое направление движения мне понравилось.

Возможно такой ответ был связан с тем, что в большинстве компаний-участников ИБ подчинялась непосредственно CIO и была неразрывно связана с ИТ. Многие брали ИБшников "под себя" и были "толмачами" между ИБ и бизнесом, то ответ выше становится более понятным.

Интересным оказался второй вопрос онлайн-голосования - кому должна подчиняться служба ИБ? Как показало последующее общение в кулуарах, это очень больная тема для многих и многие пытаются найти ответ на этот вопрос. Сразу скажу - универсального ответа нет. Все зависит от организации, отрасли, уровня зрелости, руководства и множества других факторов. В конце концов важно не столько место в иерархии, сколько то доверие, которое безопасник имеет со стороны топ-менеджмента.

Интересной оказалась и дискуссия о том, как оценивать эффективность ИБ - в терминах рисков или в том вкладе, который ИБ вносит в каждый выпускаемый компанией продукт или услугу. Однозначного ответа найти не удалось - у всех свой опыт в этом вопросе. Но большинство все-таки использует рисковый подход.

Из интересных фишек мероприятия хочу отметить приложение. Оно было не мобильным, как обычно делают на других мероприятиях, а в виде доступа к web-сайту. Но могу сказать, что в данном случае это было закономерно. В Питере нет проблем ни с Wi-Fi, ни с LTE, ни с 3G - поэтому можно было спокойно в онлайн-режиме обеспечивать доступ к программе, информации о спикерах и участниках, смотреть результаты голосования, задавать вопросы и даже контактировать с другими участниками. 

Вот так выглядела "страницы" с голосованиями, результат которых можно было посмотреть в реальном времени. Сразу отмечу, что опросы по теме ИБ набрали самое большое число голосов.

А вот так выглядела страница с вопросами из зала, которые модератор сразу транслировал участникам панельной дискуссии. На IDC IT Security Roadshow в Москве IDC использовала для этого SMS и What's Up, а сейчас была более продвинутая версия, позволяющая еще и проголосовать за тот или иной вопрос, "подняв" ее в списке задаваемых на самый верх.

В заключение хочу сказать спасибо не только организаторам, но и участникам модерируемой мной панельной дискуссии - Илье Горбунову (СПбГУ), Евгению Грищенко (Teleperformance), Дмитрию Иншакову (PwC) и Дмитрию Мананникову (СПСР-Экспресс).

ЗЫ. Интересным был опрос на тему ФЗ-242.

Подробнее…

И вновь об импортозамещении: как Минкомсвязь может убить российские стартапы

В конце мая, на конференции IT & Security Forum в Казани, о котором я еще, возможно, напишу, и материалы которого уже выложили на сайт, я среди прочего модерировал секцию про импортозамещение. Да-да, после нашумевшей битвы на РусКрипто, меня стали активно приглашать на такого рода бои, выступать на стороне импортозамещаемых. Так было и в этот раз. Я не буду повторять доводы, звучавшие на РусКрипто, хотелось бы упомянуть и о других нюансах, о которых либо все забывают, либо, понимая, все равно идут по выбранному пути. Итак...

Так как по вполне понятным причинам критерии импортного или неимпортного разработать сложно (или просто все боятся выплеснуть из критериев что-то "свое" или что под критерии попадут "чужие"), то на протяжении уже года под влиянием кучи ранее торчавших в тени ассоциаций, возникла идея о списках. Нет, не Шиндлера. Шиндлер спасал людей, а авторы отечественных списков просто отсекают тех, кто по их мнению недостоин попасть в категорию разрешенных к применению в тех или иных организациях. И вот с этими списками (или списком) есть ряд засад, которые выявились в рамках круглого стола по импортозамещению на ITSF. Во-первых, мало кто из присутствующих в дискуссии верил в то, что в составлении списков отсутствует коррупционная составляющая. Ну не может в России и не быть коррупции при делении на тех, кого допустят к кормушке и тех, кого не допустят. Вся история показывает, что даже здравая идея часто превращается в нечто ужасное. А тут и здравой-то идею со списками не назовешь.

Во-вторых, попасть в списки способны только крупные компании "на слуху". Небольшие или только что зародившиеся стартапы в области ИТ или ИБ не способны попасть в этот список - они просто не знают, куда и к кому идти. Да и ресурсов на хождение по властным коридорам у них попросту нет. Иными словами, списки "доверенного" софта выбьют почву из под ног стартапов, заставляя их работать не на Россию, а на западные рынки. Это, безусловно, очень коррелирует с идеей министра связи и массовых коммуникаций о замене курса с импортозамещения на экспортопригодность и завоевании рынков БРИКС, Африки, Латинской Америки и СНГ. Только вот экспорт отечественных технологий не очень поможет ни национальной безопасности, ни росту российской экономики; в отличие от роста зависимости иностранных государств от отечественного софта (от того, чем так пугают в России в отношении США и Европы).

В-третьих, формирование списков, которые, как упоминалось, должны обновляться ежегодно, явно вступает в конфликт с инвестиционными программами, которые у многих крупных компаний (например, Роснефть, Газпром, РЖД и т.п.) формируются на 3-5 лет вперед. Такие игроки рынка обязаны будут выбирать из того, что есть сейчас, становясь заложниками тех, кто числится в списках (вероятность коррупции возрастает еще больше), и не имея возможность в будущем переиграть свои программы, когда в списках разрешенных появятся новые имена (программы-то уже сформированы).

Еще один звучавший на секции вопрос - безопасность. Кто сказал, что ПО из списка разрешенного более безопасно, чем отсутствующее в списке? Ведь если и ФСТЭК и ФСБ на различных мероприятиях заявляют о том, что им не так важна страна происхождения продукта, сколько оценка его соответствия требованиям по безопасности, то ассоциации разработчиков отечественного ПО по понятным причинам не могут поднять эту тему себе на флаг. Ведь они зачастую вообще не имеют никаких сертификатов соответствия требованиям по защите информации. А если вспомнить, что очень часто разработчики предпочитают не создавать свое, а взять готовые (как правило, зарубежные) библиотеки и компоненты и вставить их в свой код, то вопрос доверия к тому, что будет называться отечественным, встает очень остро. Достаточно вспомнить про уязвимости ShellShock, Heartbleed и POODLE. За день до ITSF, на PHD, начальник второго управления ФСТЭК, Виталий Лютиков, привел пример. Из 10 сертифицированных в ФСТЭК продуктов, использующих чужие библиотеки, в которых была найдена уязвимость Heartbleed, устранили ее только 5 компаний. Остальные отказались (!), сославшись на то, что у них нет денег и специалистов, которые могли бы разобраться в чужом коде. Но про очковтирательство при использовании open source решений я уже писал.

Это, пожалуй, ключевые темы, которые звучали на секции по импортозамещению на ITSF. Разумеется, поднимались и другие вопросы. Например, необходимость дифференцированного подхода при выборе отраслей, где должно в первую очередь применяться импортозамещение. Но при этом должен быть определен переходный период, чтобы учесть уже сделанные многомиллиардные инвестиции. Также необходимо учитывать, что в ряде отраслей уже поставлены задачи с вполне конкретными сроками (начало шельфовой добычи нефти, выполнение оборонного заказа, строительство космодрома и т.п.), которые не могут быть не отменены, ни перенесены в связи с необходимостью импортозамещения. И в таких случаях также должно быть принято решение "как быть".

Пока же складывается впечатление, что никто не может ни взять на себя ответственность за принятие решений, ни разработать адекватную стратегию развития отечественной отрасли ИТ (с государственным финансированием, госзаказом, льготами и т.п.) с последующим постепенным переходом на произведенную ею продукцию. Пока же у нас все сосредоточены на формирования списков "своих", завоевании африканских и латиноамериканских рынков, забывая про то, ради чего все это изначально затевалось.

Подробнее…

Что такое APT: послесловие с конференции Инфосистем Джет

В пятницу я модерировал (скоро у меня число мероприятий, где я модерирую, сравняется с числом мероприятий, где я выступаю :-) секцию по APT. Но если на конференции IDC IT Security Roadshow в Москве, где я также модерировал секцию по APT, я пригласил только представителей заказчиков, то в случае с конференцией Джет мне в "напарники" были даны представители вендоров (Check Point, Trend Micro, Symantec и HP).

Вспоминая прошлое мероприятие, я начал этот круглый стол с вопросами: "Что такое APT?" Надо признать, что история повторилась - ни определения, ни четких критериев так никто и не смог сформулировать, что еще раз доказывает, что во-многом шумиха вокруг APT, как нечто нового, опасного и массового, надумана. Кто-то упоминал целенаправленный фишинг. Кто говорил о криптолокерах. Кто-то вспомнил банковские троянцы. А потом обсуждение скатилось в лингвистические нюансы - мол целенаправленная угроза и APT - это суть разные вещи; что в APT акцент надо делать либо на слове Advanced, либо на Persistent. От этого, мол, меняется суть угрозы. Но чем все это отличается от того, что было и год назад, и два, и пять, и десять. Когда прозвучал пример с криптолокерами, как доказательство APT, я сразу вспомнил вирус DIR, который активно "шумел", если мне не изменяет память, в середине 90-х годов. Работая тогда в отделе АСУ, я не раз с ним сталкивался на рабочих станциях пользователей, которые приносили на 3-хдюймовых дискетах игрушки, а с ними и вирусы. DIR также шифровал жесткий диск, как это сейчас делают криптолокеры. Так неужели и DIR тоже пример APT?

Все-таки, большинство того, против чего выпускаются на рынок продукты под соусом Anti-APT, - это во-многом маркетинг. Большинство этих псевдо-APT ничем не отличаются от атак пятилетней давности. Ну уязвимости 0-Day стали чаще использоваться. Ну вектора атак уже не ограничиваются одним. Ну атаки стали более скрытными. Тут скорее речь идет о том, что современные атаки стали комбинировать то, что раньше делалось по отдельности. Вот и все отличие. И это точно не APT.

В этом плане мне нравится подход Лаборатории Касперского, которая в термин APT вкладывает достаточно узкую прослойку угроз, которые не обнаруживаются даже самыми новомодными, но все-таки одиночными средствами защиты, стоящими на периметре сети или на отдельных рабочих станциях и серверах. Скорее под термином APT надо понимать не одну, пусть и серьезную, но все-таки одну атаку, а целую кампанию, направленную на группу жертв. В рамках такой кампании не один месяц уходит у злоумышленников на подготовительную работу, создание стенда, моделирование проникновение, сбор различных данных о жертве и ее сотрудниках. И только потом осуществляется проникновение во внутреннюю сеть предприятия и компрометация отдельных ее узлов с последующим установлением контроля и кражей данных или выполнением иных несанкционированных действий. Вот это все вместе взятое и есть APT.

У Лаборатории Касперского под это дело даже отдельный сайт был создан, где они собирают информацию о таких хакерских/шпионских кампаниях. Еще одним интересным источником информации об APT, правда не столь детальным, является на днях опубликованных список того, что могло бы быть отнесено к понятию целенаправленных угроз или APT. Правда, в списке говорится об инцидентах ИБ, но судя по их краткому описанию, речь идет именно о серьезных шпионских/хакерских кампаниях. Список включает 183 (всего) примера, начиная с 2006-го года.

Поэтому и бороться с такими угрозами надо комплексно - выстраивая процессы и обучая людей. Если же говорить о технических решениях, то даже тут нет серебряной пули, которая смогла бы решить все проблемы в одном продукте (даже если он называется Anti-APT или что-то схожее).

Если же данные классы продуктов свести в набор технологий, то мы получим ключевую пятерку, которая и позволит с большей эффективностью обнаруживать то, что пропускается по отдельности NGFW, антивирусами, IPSами, SIEMами и другими средствами защиты, на которые так часто уповают потребители, а производители не спешат снять пелену с глаз.

ЗЫ. Так как на круглом столе Инфосистемы Джет я выступал не только в роли модератора, но и в роли вендора (Cisco), то мы тоже представляли свой подход по защите от того, что все называют APT или целенаправленными угрозами (не вдаваясь в очередной терминологический спор). Он немного отличается от других вендоров тем, что мы не ограничиваемся только классическими контрольными точками в сети или на ее периметре, а превращаем всю сеть в сенсор системы защиты. Но это уже отдельный разговор и не для личного блога.

Подробнее…

Какая криптография нужна в АСУ ТП?

Вчера на конференции "Безопасность КВО ТЭК", я рассказывал про криптографию в АСУ ТП. Собственно первоначально я даже и не знал, о чем я буду рассказывать, придумав только название по наводке организаторов. И вот в среду вечером, за ночь до мероприятия, я сел за подготовку материала. От витавшей идеи в очередной раз ругать 8-й Центр я отказался сразу ибо уже надоело на мельницу лить воду - все равно особо без толку. А потом я вспомнил, что параллельно конференции в Москве, в Казани проходит CTCrypt, она же "Современные тенденции в криптографии". Вот я и решил составить краткое руководство на тему "Как выбирать криптографию для АСУ ТП?" :-)

В итоге родилась вот такая презентация, в которой я попробовал высветить ключевые вопросы, на которые надо ответить, выбирая криптографию и, потом, СКЗИ, для защиты того или иного технологического процесса и элемента АСУ ТП. На регулятора уже надеюсь мало - я эту тему поднимал уже неоднократно и в блоге и на том же CTCrypt пару лет назад - безрезультатно. Поэтому... А даже и не знаю, что поэтому. Просто :-)

Криптография в АСУ ТП: необходимость, дань моде или желание заработать from Cisco Russia

Подробнее…